Tickets de support : retirer les données inutiles

Un ticket de support peut contenir un mot de passe, un compte rendu médical ou les données d’autres clients. L’utilisateur les a envoyés pour obtenir de l’aide ; cela ne les rend pas nécessaires au dépannage. L’outil peut pourtant les diffuser aussitôt dans des notifications, une file partagée ou un service d’analyse.

Organisez un tri qui préserve le traitement du problème tout en limitant cette propagation. La bonne réponse n’est pas de demander aux agents de « faire attention » sans leur donner les moyens de retirer une pièce, de restreindre un accès et de connaître les copies déjà parties.

Séparer le problème à résoudre des informations reçues

Décrivez le besoin du support avec des données limitées : opération, étape, référence technique, message d’erreur et contexte utile. L’Art. 5(1)(b)-(c) du RGPD impose finalité déterminée et minimisation. Une pièce reçue spontanément reste soumise à ces principes. RGPD, Art. 5.

Un agent peut avoir besoin de connaître le résultat d’un calcul sans disposer du dossier personnel complet qui a alimenté ce calcul. Un défaut d’affichage peut être montré par une reproduction fictive. À l’inverse, certaines interventions exigent un examen ciblé de données réelles : le besoin doit alors être établi et le circuit adapté, pas dissimulé sous une consigne générale interdisant toutes les pièces.

Les données de santé relèvent de l’Art. 9(1), avec les exceptions du paragraphe 2. Leur présence dans un message ne prouve pas un consentement explicite à tous les usages, et l’exception retenue ne remplace pas une base de l’Art. 6(1). Ne réutilisez donc pas un document médical inutile pour l’entraînement d’un outil, l’amélioration du service ou une analyse statistique par simple opportunité. RGPD, Art. 6 et 9.

Donner aux agents une consigne de tri applicable

La consigne doit indiquer l’action immédiate, le rôle chargé de la suite et les informations à conserver. Elle évite de multiplier les transferts « pour avis » avec la pièce jointe originale.

Ces actions ne signifient pas que toute réception est automatiquement une violation de données. La qualification dépend notamment des accès et divulgations non autorisés. Elles permettent d’éviter que le traitement du ticket aggrave la situation avant cette analyse.

La préparation des captures d’écran et la gestion des copies de pièces d’identité détaillent deux cas fréquents. Un agent doit pouvoir les appliquer sans télécharger les pièces sur son ordinateur personnel ou vers un service de retouche non évalué.

Deux tickets, deux décisions différentes

Voici deux situations fictives pour montrer comment séparer les opérations.

Ticket A-17 : un problème de validation accompagné d’un document médical. Le client veut signaler qu’un bouton ne fonctionne pas. Il joint une capture contenant le message d’erreur et, sans nécessité pour le diagnostic, un document médical. L’agent conserve la description, prépare un extrait utile et fait traiter le retrait du document inutile. Il n’interrompt pas le dépannage sous prétexte que la pièce doit être supprimée.

Ticket B-23 : un mot de passe écrit dans le corps du message. L’utilisateur pense faciliter l’intervention. L’agent ne l’utilise pas pour se connecter à sa place. Il alerte le circuit chargé des identifiants, sans répéter le secret, et demande à l’utilisateur de suivre la procédure habituelle de renouvellement. L’équipe technique vérifie le périmètre concerné et les sessions ou usages à traiter selon les faits. Effacer le texte du ticket ne suffit pas à rendre le secret confidentiel après sa diffusion.

Dans A-17, la priorité porte sur le document et ses destinataires. Dans B-23, elle porte aussi sur la capacité d’accès attachée au secret. Une règle unique « supprimer la pièce jointe » ne traite donc pas les deux situations.

Le message envoyé à A-17 pourrait être : « Le document joint n’est pas nécessaire pour examiner le bouton. Nous poursuivons avec la description et l’extrait utile ; nous traitons le retrait du document des copies identifiées. Merci de ne pas le joindre à nouveau. » Cette formulation ne prétend pas que toutes les copies ont déjà disparu.

Suivre les copies par destination

Pour A-17, supposons que l’outil conserve une pièce dans le ticket, l’inclue dans un courriel d’alerte à une boîte d’équipe et la transfère à un prestataire d’assistance. L’inventaire comporte trois destinations actives. Les sauvegardes sont à examiner séparément ; leur existence et leur cycle ne doivent pas être inventés.

La fiche de traitement peut être renseignée ainsi :

Référence : A-17. Objet du retrait : document médical sans utilité pour le défaut signalé. Ticket : retrait demandé à l’administrateur, conservation de l’extrait utile. Boîte d’équipe : suppression de la copie et des retransmissions identifiées, confirmation par son responsable. Prestataire : instruction ciblée de retrait, incluant les copies du traitement concerné et retour sur les exceptions éventuelles. Trace conservée : décision, références des opérations et confirmations, sans copie du document.

Dans la suite hypothétique du dossier, le ticket et la boîte sont traités, mais le prestataire ne confirme pas encore. Le statut reste « deux destinations traitées, une confirmation attendue ». Il serait trompeur de clore l’action comme un effacement total. L’agent relance le point de contact prévu et limite les transmissions supplémentaires ; le responsable du traitement décide de la suite si la difficulté persiste.

Vérifiez aussi l’historique des versions du ticket, la corbeille, les téléchargements autorisés et les copies d’export. Ces emplacements dépendent du produit utilisé. Leur présence ne se déduit pas d’un bouton « supprimer », pas plus que leur absence.

Donner une instruction précise au prestataire

Lorsque le prestataire traite les tickets pour votre compte, les instructions et engagements doivent être encadrés par l’Art. 28(3). Son assistance à l’exercice des droits relève notamment du point e), et le point g) traite du sort des données en fin de prestation. Un retrait pendant le contrat doit être décrit comme une instruction applicable au traitement concerné, sans invoquer artificiellement une fin de contrat. RGPD, Art. 28(3)(a), 28(3)(e) et 28(3)(g).

L’instruction peut préciser la référence du ticket, les catégories à retirer, les copies concernées, le résultat attendu et le contact pour les difficultés. Elle ne doit pas contenir la pièce inutile en pièce jointe « pour identification » si une référence suffit. Demandez les raisons d’une conservation résiduelle et ses restrictions plutôt qu’une attestation générique détachée des opérations.

Distinguez les données nécessaires au dossier de support de celles éventuellement requises pour documenter un incident. Cette seconde conservation exige un besoin, une durée et des accès propres. Elle ne rend pas le document disponible à l’ensemble des agents du support.

Prévenir la prochaine réception excessive

Le formulaire peut expliquer, juste avant l’ajout d’une pièce, les éléments utiles et ceux à ne pas transmettre : mots de passe, documents sans rapport ou dossiers d’autres personnes. Donnez un exemple concret d’extrait acceptable. Une formule enfouie dans les conditions du service aidera peu au moment où l’utilisateur sélectionne son fichier.

La CNIL recommande d’éviter les zones libres susceptibles d’entraîner une collecte disproportionnée et d’intégrer la protection des données dans la conception. Cela ne signifie pas interdire tout commentaire : il faut adapter le champ au besoin et les accès au contenu possible. CNIL, encadrer les développements informatiques.

Examinez les réglages qui propagent automatiquement les pièces. Une notification peut annoncer qu’un ticket attend un traitement sans reproduire tout son contenu. Un outil d’analyse peut recevoir des événements limités plutôt que les pièces brutes. Décrivez ces besoins fonctionnels, puis vérifiez les capacités et limites du produit réellement utilisé.

Les journaux d’erreurs doivent entrer dans la revue. Un formulaire qui affiche un avertissement mais enregistre intégralement les données dans une erreur de serveur déplace simplement la collecte excessive.

Organiser les accès, les durées et le contrôle

Définissez qui traite les tickets ordinaires, qui intervient sur les contenus délicats et qui peut exporter. La restriction d’un ticket doit porter sur les accès réels, pas uniquement sur une étiquette. Une file spéciale n’est utile que si ses lecteurs et ses redistributions sont maîtrisés.

L’Art. 32(1) impose un niveau de sécurité adapté aux risques. L’Art. 5(1)(e) exige une durée liée aux finalités. Une pièce inutile peut devoir être retirée avant la clôture du ticket ; le ticket utile peut subsister selon sa règle propre. Il n’existe pas une durée générale de conservation identique pour tout contenu reçu par un support.

Préparez des tickets fictifs comportant des données témoins pour observer le circuit : réception, notification, transfert, export et retrait. Les agents doivent savoir demander l’action et comprendre les limites des confirmations obtenues. Ce guide propose ce contrôle ; il ne rapporte aucun essai réalisé sur votre outil ou celui d’un fournisseur.

Si la suppression de la pièce laisse une copie visible dans l’historique, le contrôle n’est pas terminé. Faites examiner la configuration ou la fonction disponible et documentez la mesure transitoire. Une impossibilité technique doit conduire à une décision et à une correction, non à une affirmation d’effacement inexacte.

Quand faut-il ouvrir un dossier de violation ?

L’Art. 4(12) vise une violation de sécurité entraînant notamment une divulgation ou un accès non autorisé à des données personnelles. L’analyse d’A-17 doit donc examiner qui a reçu le document, leurs habilitations, les usages possibles et les copies ; elle ne s’arrête pas au constat que le client l’a envoyé lui-même. RGPD, définitions.

Si une violation est établie, documentez-la selon l’Art. 33(5) et évaluez les obligations de notification et d’information prévues aux Art. 33(1) et 34(1). N’attendez pas la réponse finale du prestataire pour examiner ces obligations lorsque les faits sont déjà suffisants. La correction technique, le traitement du ticket et les décisions relatives à la violation ont chacun leur suivi.

Ce qu’il faut retenir

• Le contenu envoyé spontanément reste à justifier et à minimiser.
• Séparez le dépannage, le retrait des copies et le traitement des secrets.
• Une confirmation manquante doit rester visible dans le dossier.
• Réduisez les redistributions automatiques et vérifiez le circuit réel.

FAQ

Faut-il supprimer tout le ticket ?

Pas nécessairement. Retirez les données inutiles et conservez les éléments nécessaires et licites au traitement du problème, selon leurs durées propres.

L’envoi d’un document médical vaut-il consentement explicite ?

Pas à tous les usages. L’Art. 9(2) doit être examiné pour les opérations envisagées ; la simple réception ne permet pas une réutilisation générale.

Un agent peut-il conserver une copie pour se souvenir du dossier ?

Le suivi doit rester dans les espaces autorisés. Une copie personnelle échappe souvent aux restrictions, durées et opérations de suppression de l’outil principal.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.